Anfang September 2026 haben Sicherheitsforscher von Sansec eine Angriffswelle auf Magento-Shops entdeckt. Dahinter steckte eine bis dahin unbekannte Lücke, die inzwischen unter dem Namen StyleSmuggler und der Kennung CVE-2026-75650 bekannt ist. Sie hat die höchstmögliche Bewertung (CVSS 10.0): Ein Angreifer braucht weder Zugangsdaten noch ein Kundenkonto, um eigenen Code auf dem Server auszuführen.
Was ist passiert?
Die erste bestätigte Ausnutzung stammt vom 4. September 2026. Adobe hat am 7. September das Sicherheitsbulletin APSB26-146 mit einem Hotfix veröffentlicht – drei Tage, in denen Shops ohne offiziellen Schutz waren.
Der Angriff läuft in zwei Schritten:
- Code einschleusen: Eine präparierte Anfrage an eine Zahlungs-Schnittstelle schlägt absichtlich fehl. Magento schreibt die komplette Anfrage – samt eingeschleustem PHP-Code – in einen Fehlerbericht unter
var/report/. - Code ausführen: Über eine zweite Anfrage an die GraphQL-Schnittstelle bringt der Angreifer Magento dazu, genau diese Datei beim Erzeugen einer E-Mail-Vorlage einzubinden. Der Code läuft dabei schon während der Erzeugung – ob die E-Mail tatsächlich verschickt wird, spielt keine Rolle.
Spätere Varianten nutzen statt der Fehlerberichte auch Log- und Session-Dateien.
Wer ist betroffen?
Betroffen sind Magento Open Source und Adobe Commerce in den Versionen 2.4.4 bis 2.4.9. Adobe hat den Hotfix für die aktuellen Patch-Stände dieser Versionen getestet. Wichtig: Laut Sansec war auch ein Shop betroffen, der alle Sicherheitsupdates von Juli und August eingespielt hatte. Ein „aktueller“ Shop war also kein Schutz.
Für ältere Versionen (2.2, 2.3 und 2.4.0 bis 2.4.3) liefert Adobe keinen Fix. Hier helfen nur Rückportierungen durch Dritte – oder, besser, ein Upgrade.
Was die Angreifer installieren
Nach erfolgreichem Angriff legen die Täter eine Hintertür ab, die sich gut tarnt:
- Sie läuft unter Namen, die nach Systemprozessen aussehen, etwa als Kernel-Thread, als
fc-cacheoder alschronyd. - Sie kommuniziert mit ihrem Steuerserver über Pakete, die wie Zeitsynchronisation (NTP) aussehen.
- Über Cron-Einträge startet sie sich nach einem Neustart wieder.
Sansec hat außerdem eine zweite Tätergruppe beobachtet, die Webshells im Produktbild-Cache ablegt und auf einem Shop zusätzlich einen Skimmer für Kartendaten in der Konfiguration versteckt hat.
Ein Update reicht nicht
Der Hotfix schließt die Lücke – er entfernt aber nichts, was ein Angreifer vorher schon auf dem Server abgelegt hat. Wer zwischen Anfang September und dem Einspielen des Fixes angreifbar war, sollte deshalb prüfen, ob er betroffen ist.
Unsere Empfehlung für Shopbetreiber:
- Hotfix einspielen (Adobe-Patch
VULN-39341aus APSB26-146) und mitvendor/bin/magento-patcheskontrollieren, ob er aktiv ist. Auch die folgenden Sicherheitsupdates – etwa APSB26-153 vom Oktober – zeitnah einspielen. - Auf Spuren prüfen: Fehlerberichte in
var/report/mit PHP-Code, PHP-Dateien inpub/media, unbekannte Cron-Einträge, Prozesse mit Systemnamen, die aus ungewöhnlichen Verzeichnissen laufen, neue Admin-Benutzer,<script>-Einträge in Konfiguration und CMS-Blöcken. - Bei Verdacht Zugangsdaten tauschen: Admin-Passwörter, API-Tokens, Zahlungs- und Datenbank-Zugänge, SSH- und Deploy-Schlüssel sowie den Verschlüsselungsschlüssel von Magento – und zwar an der Quelle, nicht nur im Shop.
- Eine Web Application Firewall vorschalten, die solche Angriffe früh filtert.
Wie wir unsere Server überwachen
Für die Shops, die bei uns laufen, haben wir die Erkennung in unsere Leitstelle Pharos eingebaut. Ein Prüfprogramm sucht auf jedem Server stündlich nach den bekannten Spuren solcher Angriffe:
- fehlender StyleSmuggler-Fix und Fehlerberichte mit PHP-Code,
- als Kernel-Thread getarnte Prozesse und Programme in temporären Verzeichnissen,
- Verbindungen zu bekannten Angreifer-Adressen,
- Skimmer- und Hintertür-Code im Shop, PHP in Medienverzeichnissen,
- neue Admin-Benutzer, Integrationen und Skripte in Konfiguration und CMS,
- Änderungen an Crontabs, Systemdiensten, SSH-Schlüsseln und Benutzerkonten.
Weicht etwas vom geprüften Zustand ab, meldet Pharos das sofort. Deployments und Paket-Updates lösen dabei keinen Fehlalarm aus: Stimmt eine geänderte Datei mit dem Stand in der Versionsverwaltung oder mit der Prüfsumme ihres Pakets überein, wird sie still übernommen. Und meldet sich eine Prüfung nicht mehr, schlägt Pharos ebenfalls Alarm.
Fazit
StyleSmuggler zeigt, wie schnell aus einer unbekannten Lücke ein Massenangriff wird – und dass „aktuell gepatcht“ allein keine Sicherheit bedeutet. Entscheidend ist, Updates schnell einzuspielen und zu erkennen, wenn trotzdem jemand eingedrungen ist.
Sie sind unsicher, ob Ihr Shop betroffen ist? Wir prüfen Ihren Magento-Shop gern und helfen beim Absichern.